用途：作为 NanoClaw 运行时流量监控的落地技能基线，面向主机侧 HTTP 代理检查、外发数据泄露检测与入站注入检测，可与 clawsec-nanoclaw 搭配作为可选配套，而非必需扩展。
主要能力（规划范围）：主机侧 HTTP 代理检查；在主机持有 CA 材料的前提下可选启用 HTTPS 检查；外发泄露检测与入站注入检测；脱敏的本地威胁日志；用于状态、发现与配置检查的 MCP 工具；面向容器安全通信的 IPC 处理器。
使用方式：通过 Vercel Skills CLI 安装：npx skills add prompt-security/clawsec --skill nanoclaw-traffic-guardian -a openclaw -y。独立安装时应先验证签名发布清单，再信任 SKILL.md、skill.json 或归档文件；skill.json 是包元数据/SBOM 来源，发布流水线用 ClawSec 发布密钥对 checksums.json 签名。实现前应先阅读 SPEC.md，占位目录约定为：lib/ 放检测规则、脱敏、类型与报告格式；host-services/ 放主机侧代理生命周期、日志访问与 IPC 处理；mcp-tools/ 放容器侧状态与发现类 MCP 工具；test/ 放单元测试、主机/容器 IPC 测试与脱敏测试。首次实现需：校验配置而不启动代理；通过主机管理的生命周期启动监控；CA 密钥材料仅保留在主机侧；按受限字节上限检查 HTTP 请求/响应文本；仅在运维方提供逐运行时信任配置时支持可选 HTTPS 中间人；输出脱敏片段组成的 JSONL 发现；只暴露返回状态与脱敏发现的 MCP 工具。
安全约定：仅限主动选择启用；默认只检测并记录；不自动安装系统 CA；容器内不得访问 CA 私钥；首个实现不做阻断；写日志或 MCP 响应前先脱敏；状态保存在 NANOCLAW_TRAFFIC_GUARDIAN_HOME 或主机托管的 NanoClaw 安全数据目录下。
限制：v0.0.1 实现范围不含自动修改系统信任库、透明网络拦截、默认阻断、向外部服务发送流量、向容器暴露原始请求/响应正文。当前为基线规范，暂未提供代理或运行时实现。